物聯(lián)網(wǎng)安全之殤：設備制造商安全意識極度匱乏

　　近日，安全公司Rapid7在對9個(gè)嬰兒監視器進(jìn)行測試之后，發(fā)現其中8個(gè)在測試中存在初級的安全問(wèn)題。這充分表明了當前的物聯(lián)網(wǎng)設備制造商在安全方面仍有很大的成長(cháng)空間，也就是說(shuō)，在安全方面他們還需要很長(cháng)的時(shí)間去探索。

　　隨著(zhù)當前越來(lái)越多的消費設備接入到互聯(lián)網(wǎng)中，越來(lái)越多的由于設計缺陷而導致的安全漏洞也不斷浮出，這不但使得這些設備極易受到攻擊，并且，實(shí)際情況表明針對此類(lèi)設備的攻擊已經(jīng)越來(lái)越多。

　　例如，在上文所提到的Rapid7對9個(gè)嬰兒監視器的測試中，Rapid7便發(fā)現了10個(gè)嚴重的漏洞,其中有5個(gè)是供應商所留下的后門(mén)。具體來(lái)說(shuō)，設備制造公司在設備中創(chuàng )建了一個(gè)計分卡的安全設計,但只需要鍵入一個(gè)“d”便可使任意人進(jìn)入該設備。

　　而在Rapid7全球服務(wù)的高級安全顧問(wèn)Mark Stanislav看來(lái)，沒(méi)有一個(gè)供應商會(huì )在其產(chǎn)品所采取的安全措施方面做宣傳,或者說(shuō)這樣的情況是極為少見(jiàn)的。而作為一個(gè)約從50美元到250美元價(jià)格不等的設備而言，這樣的標價(jià)幾乎與安全性沒(méi)有任何的聯(lián)系。 “作為一個(gè)消費者，要想知道你所購買(mǎi)的商品是不是安全的，這是非常困難的。” Mark Stanislav說(shuō)道：“不幸的是,從物聯(lián)網(wǎng)的安全現狀來(lái)看，目前的情況并不值得我們樂(lè )觀(guān)”。

　　連接設備,也被稱(chēng)為物聯(lián)網(wǎng),正越來(lái)越受到安全研究人員的關(guān)注。而通常情況下，安全研究人員都會(huì )從其中發(fā)現重大安全漏洞。今年2月,惠普公司的安全部門(mén)便發(fā)現,物聯(lián)網(wǎng)安全系統存在明顯的漏洞,當用戶(hù)未使用設備時(shí)同樣會(huì )面臨被攻擊的風(fēng)險。而在去年,賽門(mén)鐵克和Rapid7也發(fā)布了類(lèi)似的研究,發(fā)現在眾多的物聯(lián)網(wǎng)設備中都存在安全漏洞。

　　在最新的研究中,Rapid7分析了來(lái)自8個(gè)不同供應商的9個(gè)不同的運作模式的嬰兒監視器，并發(fā)現其中存在的重大漏洞可能允許攻擊者訪(fǎng)問(wèn)監視器或通過(guò)代碼操作讓設備實(shí)際運行。在這些設備中，服務(wù)器支持了一個(gè)在設備使用中可預見(jiàn)的url,攻擊者可以很容易地進(jìn)入并修改其他賬戶(hù)持有人的信息。這一設計方式在實(shí)時(shí)訪(fǎng)問(wèn)視頻時(shí)也同樣會(huì )導致第二個(gè)可被攻擊之處，因為供應商是將實(shí)時(shí)視頻服務(wù)托管在公共網(wǎng)絡(luò )上的。第三個(gè)漏洞發(fā)生在服務(wù)支持相對較差的情況下,當用戶(hù)在與親朋好友分享視頻時(shí),可導致視頻流被攻擊者任意訪(fǎng)問(wèn)。

　　Rapid7為所測試的設備是否具有安全特性進(jìn)行了評比打分,這些安全特性包括：設備的本地和網(wǎng)絡(luò )通信是否使用了SSL加密、設備是否存在任何潛在的后門(mén)、是否隱藏賬戶(hù)或已知的漏洞等等。在滿(mǎn)分為100分的情況下,測試結果表明有8個(gè)設備分數在0到50之間，未通過(guò)安全測試。而唯一勉強算是通過(guò)測試的設備也只有64分。

　　“比分的結果比更多的工程實(shí)踐更加能夠表明，物聯(lián)網(wǎng)安全的決定性的因素還是在于產(chǎn)品的設計階段和實(shí)現階段。” Mark Stanislav說(shuō)道。